Fumiya Okazaki

あー。もう2016もそんな時期なんですね。。。

ADは社内で使うべきものだから社外向けで使ったGMOの筋が悪かったんだ！みたいなコメントも概ね同意ですがじゃぁウチは社内だから大丈夫ー！ってわけでもなくて、昨今の状況からすると同じような運用をしてたら社内端末の一つが侵害されたら横展開されちゃうから…。ちゃんと事例に学ぼう…。

あ、、、もしかして、、DomainAdminが付与されたユーザーでドメイン参加等のオペレーションしちゃうのってとても危ないんだけど、結構あるあるなのかしら。

あー。最初のドメイン参加を自動化しようと思うと共有のドメインアカウントを仕込みたくなる気持ちはわかるか。

そもそもの設計の筋が良くないのは同意ですが、ここで言うマスターキーを部屋に持ち込まなければ出来ないサポート操作や自動処理なんてあったのかしら…？GPOもWSUSも不要だと思う。もちろんGMO社の運用ではあったかも知れないけど…。そんな危険な仕組みはADも標準提供してない認識。

AD以外で携わって似たようにヤバさを感じたのはk8sとかOpenStackのコントロールプレーンだけど、特権コンテナ&ネットワーク分離なしでコンピュートリソースを不特定多数の人に利用させるみたいな感じかなぁ…？

Windowsサーバー以外の類似レイヤに同じ解像度で色々やったことがないからADの功罪みたいな点でどこまでADが非難されるべきなのかの相対見積もりは難しい…。

あー、、、ギックリ首かヘルニアか、、首が激痛で動けない…。安静にして整形外科行くかぁ…。せっかく足の調子が戻ってきたのに走れない…。

そういう意味だと御役所仕事っていうのはUXが悪いと揶揄されがちだけど案外運用設計としてはちゃんとしてるなぁと勉強になるケースも多い。印鑑証明とか。まぁ今の時代に印影が証明になるかというには置いといて…。

ソフトウェアによる処理範囲だけでなく、人によるオペレーションを含めて全体をシステムと捉えたうえでセキュリティは考えたほうが良いと思うんだけど、運用設計としての脆弱性が見過ごされがち。

ローカル管理者とドメイン管理者を混同しているコメントも結構ありそう。まぁ…確かにややこしいよねぇ。。

セキュリティの専門家でもADの専門家でもないんだけど、自宅のADを論理的にぶっ壊しては復旧するのを趣味にしていた時期があって、他の人よりチョットデキルになった気がする。。。

AD自体ではなくてADを用いた運用設計の問題な気はします。特に利用者にローカル管理者を渡す前提なら簡単にMimikatz等でPass the Hashされるのは既知のリスクの為、横展開されうるハッシュ、チケットを残さないよう運用を気をつけるはずですが…リスクある運用をADが誘発してる側面も否定できない…。

結局DomainAdminとか奪取された後で復旧を考えると、ちゃんとバックアップが取得されてて、削除されない安全な場所に保管されてる前提でも、完全無停止のロールバックは難易度高いんだから、池の水抜いてみたくらいのノリでちょっとAD止めてみたは昨今の状況からするとやるメリットもあるかも。

痛みを伴って覚えるしかないこともある…。もし、万一「ええい！アクティブディレクトリを止めろ！」って経営層が聞く耳持たないならば、良い機会だから一旦止めて何が起こるか訓練するのはいいかも？と思い始めた。

オンプレADは素晴らしい製品なんですが、乗りこなすのが難しいんですよね…。20年前のスーパーカーで公道走るようなイメージ。数少ない有識者以外が乗りこなせないのに結構な企業に導入されてるという。

ADをディレクトリサービスと、ひとことで片付けるのも気持ち悪いので良い表現が難しい…。Windows的には”役割”という表現な気がするのですが…。